🇰🇷 한글 설명
Flowise 3.1.4 미만 버전의 Enterprise 엔드포인트에서 리소스 소유권을 검증하지 않는 교차 테넌트 권한 부여 결함이 발견되었습니다. 공격자는 Enterprise 권한을 악용하여 임의의 워크스페이스를 삭제하거나, 타 조직에 초대되거나, 조직 간 역할을 수정하고 저장된 SSO 비밀 정보를 남용할 수 있습니다.
💡 쉬운 설명
기업용 Flowise 서비스에서 다른 사용자의 영역을 침범할 수 있는 보안 허점이 발견되었습니다. 권한이 있는 사용자가 다른 팀의 작업 공간을 삭제하거나 정보를 훔치는 등의 행위가 가능합니다.
🇺🇸 원문 (English)
Flowise versions before 3.1.4 contain cross-tenant authorization gaps in Enterprise endpoints that fail to verify resource ownership before operations. Attackers with Enterprise access can delete arbitrary workspaces, invite themselves into other organizations, modify cross-org roles, and abuse stored SSO secrets.
📍 영향받는 시스템
Flowise versions before 3.1.4
⚔️ 공격 벡터
Enterprise 권한을 가진 사용자가 검증되지 않은 엔드포인트를 통해 타 테넌트 리소스에 접근
🛡️ 대응 방법
Flowise를 3.1.4 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.4 미만인지 확인하십시오.
npm list flowise | grep flowise
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Security Verify Access